Kenttäväylät turvallisuuskriittisissä prosesseissa

Transkriptio

1 1 Kenttäväylät turvallisuuskriittisissä prosesseissa Mitä on turvallisuus ja mitä on kriittisyys?: prosessit tai tapahtumat, jotka eivät aiheuta vaaraa (=riskiä) henkilöille, omaisuudelle tai ympäristölle (täten jopa operoijan imagolle!!) ovat luonnostaan turvallisia -> ovatko muut vaarallisia? monet vaarattomatkin prosessit ovat hetkittäin vaaraa aiheuttavia toimiessaan väärin yleisesti: prosessit toimiessaan väärin tai oikein tai tapahtumat tai inhimilliset tekijät jotka aiheuttavat em. kohteille todennäköisesti huomattavasti kohonneen vaaran ovat turvallisuuskriittisiä prosesseja tällöin tavoitteena on suhtautua kriittisesti ko. prosesseihin, eli kompensoida siis alentaa em. kohonnutta todennäköisyyttä usein keskitytään välittömiin vaaraa aiheuttaviin tekijöihin -> välilliset voivat olla vielä tuhoisampia (tuoteturvallisuus) TURVALLISUUDELLA TARKOITETAAN ARVIOTA, MITÄ TAPAHTUU KUN TLJ-TOIMINTO VIKAANTUU VÄÄRIN!

2 2 Mitä tarvitaan vaaratekijöiden vähentämiseen? mekaaninen eli rakenne-, materiaali-, layout- ja mediasuunnittelu poikkematarkastelut (HAZardeous OPerations study) ja toimintovirheanalyysit (TVA) tai Turvallisuuden EheysTason TET määrittely (Safety Integrity Level SIL) -> prosessisuunnittelun rooli korostuu (säätö/automaatio/instrumentointisuunnittelu, siis toimintosuunnittelu on olennainen osa prosessisuunnittelua!) laitteiden ikääntymisen aiheuttamien vaarojen ennakointi -> kunnossapitosuunnittelu tietous/ymmärrys tapahtumista -> informaation saamisen ja käsittelyn suunnittelu (toimenpiteet kun informaatio osoittaa poikkeamia! siis poikkeamanhallinnan suunnittelu!) kun em. ei riitä tehdään vielä erillinen TLJ eli Turvallisuuten Liittyvä Järjestelmä (eri teollisuuksissa kohdennettuja järjestelmiä kuten ESD, BMS, TMR, Fail Safe (FS), Safety Instrumented Systems (SIS), jopa Validated Systems tai vast.) - huom! järjestelmä ei estä vaaran syntyä, vaan ohjaa vikatilanteessa ennustettavampaan tilanteeseen, siis vähentää riskiä!!

3 3 Mikä aiheuttaa vaaran? näkemys no. 1 vakuutusyhtiöiden tilastojen mukaan suurimmat yksittäiset syyt vaaroihin ovat puutteellinen koulutus ja opastus inhimilliset ohjausvirheet (huomattavan suuri osuus!!) puutteet huollossa tai kunnossapidossa tai laitevauriot inhimilliset virheet aiheutuvat useimmiten prosessitilan muutosnopeuden väärinymmärryksestä tai yleensä puutteellisesta informaatiosta kohteesta ja vaaratekijästä harvinaista mutta totta, suunnitteluvirheet tai ohjelmistovirheet tai HW-komponettivirheet eivät ole oikeastaan vaarojen aiheuttajien kärkisyitä (mutta toisaalta tarkoittaa sitä, että jos em. ei kiinnitetä huomiota, niin seuraukset ovat useimmiten tuhoisimpia!)

4 4 Mikä aiheuttaa vaaran ohjauspiirissä? näkemys no. 2 Shell Global Solutions Actuators - 30% Wiring - 5% I/O - 15% CPU - 2% Sensors - 48%

5 5 Mikä aiheuttaa vaaran ohjauspiirissä? näkemys no. 2 Sensor Logic Solver Valve (Hardware and Software)

6 6 Mikä aiheuttaa vaaran automaatiossa? näkemys no. 3 Engineering British Nuclear Fuels Limited Three parameters feature in the calculation of the safety of a CE&I system - Reliability - the Mean Time Between Failure and the Mean Time To Repair Availability = MTBF / (MTBF+MTTR) The Probability of Failure on Demand (PFD)- the likelihood that the instruments will not respond correctly when presented with a safety related demand (i.e. a trip condition) It Goes Without Saying That... We will keep traditional safety equipment such as Emergency Stops, overloads, guard switches & interlocks, etc. Instrumentation will never be the only method of ensuring plant safety

7 7 Nykyinen tapa tehdä Turvallisuuteen Liittyvä Järjestelmä (Class A) STOP Low Level L Hardwired/FSPLC Levell Trip Logic SW/FSPLC Pressure Trip Logic STOP CLOSE CLOSE Junction Box Low Pressure P CLASS A: TWO DIVERSE METHODS FOR DETECTING 'LOW LEVEL' in the tank are used. One is level measurement the other is pressure measurement (i.e. pump cavitation). TWO INDEPENDENT DIVERSE LOGIC LOOPS are capable of stopping the pump and closing the valve independently. Generally the MOST OBVIOUS (i.e. level) TRIP system should be HARDWIRED OR WITHIN FAIL SAFE PLC. The other (i.e. cavitation) may be implemented by a programmable system depending on the method used for the primary channel.

8 8 Nykyinen tapa tehdä Turvallisuuteen Liittyvä Järjestelmä (Class B) Low Level L Level Trip Logic Low Level L Level Trip Logic STOP CLOSE Junction Box Two similar methods of detecting 'LOW LEVEL' in the tank are used. Similar logic circuits are capable of stopping the pump or closing the valve independently. Trip systems must be implemented by TWO DIFFERENT PROGRAMMABLE SYSTEMS.

9 9 Miten kenttäväylään voidaan suhtautua nykyisessä käytännössä? IEC 61508&61511 (USA & Kanada S84.01) standardit korostavat riittävän kauan käytössä olleita ja koettuja laitteita ja käytäntöjä -> siis ei ota kantaa teknologiaan! eikä tiedonsiirron periaatteeseen! em. standardien tarkoituksena on siis vähentää paikallis- ja loppukäyttäjästandardeja - siis käytäntöjä! nykyiset luokitus/vakuutuslaitosten arvioimat asiat ovat enemmänkin luokitteluja käytettyjen komponettien vikasietoisuuksista ja pysyvyyksistä (=MTBF) ja siitä mihin tilaan komponenttien vikaantuminen johtaa luokitellussa laitteessa (fail safe - toiminto eli Safety Instrumented System kenttäväylän käyttöönottamisessa turvallisuuskriittisissä sovelluksissa on enemmänkin kyse siitä, kuinka tietyt komponenttitason/ohjelmistojen asiat ratkaistaan soveltajasta riippumattomiksi (ohjelmistot, parametroinnit, tehonsyöttö/kahdennukset, EX-alueet, signaalivahvistukset yms.) ja kuinka tähän asti sovellettuja laitteita voidaan käyttää (liitettävyys, nyk. HART!)

10 Voinko käyttää kenttäväylää turvallisuuskriittisessä prosessissa? 1 0 mikään ei kiellä, kyse on kuten todettua arviosta riskin hyväksyttävyydelle, aivan kuten kaikelle muullekin valitulle tekniikalle koska markkinoiden turvallisuuskriittisiin ohjauksiin tarkoitettujen laitteistojen tekniikka ei tue kenttäväyliä (hyvä kuin edes HART!) niin tosiseikka on, että tehdään nk. hybridejä, eli käytetään kenttäväylistä muut hyödyt ja toteutetaan toistaiseksi primääriset suojat kuten nyt FF-kenttäväylään voidaan tehdä hajautettu ohjaus/säätö/lukitus -> hajautus kasvattaa vikasietoisuutta (toisaalta valitun kenttäväylän pitää sallia nk online muutokset) - huomaa että esim. säätötoiminto voidaan tehdä redundanttiseksi pros.aseman ja kenttälaitteen kesken kenttäväyläteknologia auttaa sellaisen tiedon saamisessa ennakkoon, joka vähentää riskiä (joissakin sisäänrakennettu asset management ) kyse on entistä enemmän toimintojen suunnittelusta kuin SW- tai HW-suunnittelusta!